W Craft CMS do wersji 3.7.31 odkryto podatność SQL injection dostępną przez endpoint GraphQL API. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia i może prowadzić do pełnego przejęcia bazy danych.
▸ Pokaż oryginał (EN)
Craft CMS up to v3.7.31 was discovered to contain a SQL injection vulnerability via the GraphQL API endpoint.
Atakujący wysyła odpowiednio spreparowane zapytanie GraphQL do publicznego endpointu API, wstrzykując złośliwy kod SQL. Brak odpowiedniej walidacji i sanityzacji danych wejściowych pozwala na wykonanie dowolnych poleceń SQL w kontekście bazy danych aplikacji. Atak nie wymaga posiadania konta ani żadnych uprawnień w systemie.
Atakujący może uzyskać nieautoryzowany dostęp do danych przechowywanych w bazie danych, modyfikować lub usuwać jej zawartość, a w sprzyjających warunkach konfiguracyjnych — wykonać polecenia systemowe na serwerze.
Należy zaktualizować Craft CMS do wersji wyższej niż 3.7.31. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Jako tymczasowe obejście warto rozważyć ograniczenie dostępu do endpointu GraphQL API na poziomie firewall lub warstwy sieciowej.
Craft CMS w wersjach do 3.7.31 włącznie.
Szczegółowy opis techniczny podatności (w tym potwierdzenie braku wymagania uwierzytelnienia) dostępny jest w publikacji badaczy z Smith Security: https://blog.smithsecurity.biz/craft-cms-unauthenticated-sqli-via-graphql
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HCraftcms Craft Cms
APPCraftcms< 3.7.31
Powiązane podatności
Krytyczny RCE w Craft CMS — zdalne wykonanie kodu bez uwierzytelnienia
RCE w Craft CMS przez nieprawidłową konfigurację register_argc_argv
Craft CMS: RCE przez SSTI w polach szablonów Twig
Craft CMS: obejście bloklisty PHP w silniku Twig umożliwia RCE
Craft CMS is a platform for creating digital experiences. This is a high-impact, low-complexity attack vector....